Statut de NIS 2 en Lettonie
Ce que la directive exige, comment la Lettonie la transpose, et où se situent le Centre national de cybersécurité et CERT.LV dans le tableau.
Vue d'ensemble
La directive NIS 2 est la couche de l'UE. Elle lie chaque État membre, Lettonie comprise, par un niveau minimal unique pour les entités essentielles et importantes. La Lettonie doit inscrire ce niveau dans le droit letton et exercer une supervision au titre de celui-ci.
La Lettonie transpose NIS 2 par la loi nationale sur la cybersécurité (Nacionālās kiberdrošības likums), disponible en anglais sur likumi.lv. La loi s'appuie sur les structures existantes autour de CERT.LV et ajoute un Centre national de cybersécurité (NCSC) dédié sous l'autorité du ministère de la Défense comme superviseur principal des entités essentielles et importantes.
La Lettonie n'a pas pleinement respecté l'échéance de transposition de l'UE du 17 octobre 2024. La Commission européenne a adressé un avis motivé pour transposition incomplète le 7 mai 2025, selon la page-pays de la Lettonie de la Commission. Les structures opérationnelles (NCSC, CERT.LV, autorités sectorielles) sont en place, tandis que des parties de la réglementation secondaire sont encore en cours d'achèvement.
Directive de l'UE
Directive (UE) 2022/2555 (NIS 2)
La directive de cybersécurité à l'échelle de l'UE. Elle fixe les obligations que chaque État membre doit transposer, y compris le test de taille et de secteur pour les entités essentielles et importantes.
Acte d'exécution de l'UE
Règlement d'exécution (UE) 2024/2690
Mesures techniques et méthodologiques pour les fournisseurs d'infrastructures numériques. Directement applicable en Lettonie, aucune transposition nationale nécessaire.
Transposition lettone
Loi nationale sur la cybersécurité (Nacionālās kiberdrošības likums)
La loi de transposition de NIS 2 en Lettonie. Publiée sur likumi.lv avec une traduction anglaise. Les règlements secondaires (règles du Conseil des ministres) portent le détail opérationnel. L'avis motivé de la Commission européenne du 7 mai 2025 indique que la transposition complète n'était pas encore achevée.
Loi nationale sur la cybersécurité
Inscrit les obligations de NIS 2 dans le droit letton. Définit les catégories d'entités essentielles et importantes, les pouvoirs de supervision, les obligations de notification des incidents et les sanctions. Les règlements du Conseil des ministres précisent le détail opérationnel (seuils sectoriels, données d'enregistrement, formulaires de notification).
NCSC et CERT.LV sous l'autorité du ministère de la Défense
Le Centre national de cybersécurité (NCSC) est le superviseur principal des entités essentielles et importantes et agit comme point de contact unique au niveau de l'UE. CERT.LV est le CSIRT national et assure la réponse aux incidents. Les deux relèvent du ministère de la Défense. Le Bureau de protection de la Constitution (SAB) supervise les infrastructures TIC critiques sur une voie distincte.
Enregistrement et notification
Les entités doivent notifier à l'autorité compétente leur statut dans une fenêtre fixe après avoir déterminé qu'elles relèvent du périmètre (la loi fixe une fenêtre de notification d'un mois dans le texte anglais de likumi.lv ; vérifiez le règlement en vigueur du Conseil des ministres pour le délai actif). Les incidents significatifs suivent la directive : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans un délai d'un mois.
En Lettonie, le droit letton s'applique
Les activités sur le territoire letton suivent la transposition lettone. Un directeur général allemand ayant une filiale lettone lit la loi nationale sur la cybersécurité pour cette filiale, et non le BSIG. Les obligations de niveau directive sont les mêmes. La procédure, l'autorité et les sanctions résident dans le droit letton.
La Lettonie ne peut pas descendre sous le socle de l'UE
La directive est une harmonisation minimale. La Lettonie peut aller plus loin, et a historiquement des règles plus strictes autour des systèmes TIC de l'État et des infrastructures critiques. La Lettonie ne peut pas descendre sous la directive, ni pour les obligations des entités essentielles et importantes, ni pour les délais de notification, ni pour la responsabilité de l'organe de direction.
Centre national de cybersécurité (NCSC)
Autorité compétente principale pour les entités essentielles et importantes de NIS 2. Relève du ministère de la Défense et agit comme point de contact unique de la Lettonie au niveau de l'UE. Émet des orientations, recueille les données d'enregistrement et exerce la supervision. Les infrastructures TIC critiques sont supervisées par le Bureau de protection de la Constitution (SAB) sur une voie parallèle.
CERT.LV
Le CSIRT national de la Lettonie sous l'autorité du ministère de la Défense. Reçoit les notifications d'incidents, coordonne la réponse et assure la divulgation coordonnée des vulnérabilités. Opère sur le fondement juridique de la loi nationale sur la cybersécurité. N'est pas le superviseur : l'exécution et les sanctions relèvent du NCSC et du SAB.
ENISA
L'agence de cybersécurité de l'UE. Publie des orientations, gère la base de données européenne des vulnérabilités et coordonne au niveau transfrontalier. Aucune supervision des entités lettones. Ce rôle revient au NCSC et à CERT.LV.
La Lettonie a fait comme l'Allemagne, donc elle doit être en retard elle aussi.
La Lettonie est dans une situation différente. La Lettonie a adopté une loi nationale sur la cybersécurité et mis en place le NCSC et CERT.LV, mais la Commission européenne a tout de même adressé un avis motivé le 7 mai 2025 pour transposition incomplète. L'Allemagne n'a pas du tout adopté sa loi de transposition de NIS 2. Le texte letton est en vigueur, l'écart se situe dans la réglementation secondaire et la notification complète à la Commission.
Il n'y a pas encore de mécanisme d'enregistrement letton, donc nous pouvons attendre.
L'obligation de notifier à l'autorité compétente le statut d'entité essentielle ou importante figure dans la loi nationale sur la cybersécurité elle-même. Le texte anglais de likumi.lv donne une fenêtre de notification d'un mois à compter du moment où une entité détermine qu'elle relève du périmètre. Les règlements du Conseil des ministres définissent le canal et les formulaires en vigueur. Attendre un portail parfait ne suspend pas l'obligation légale.
Seules les entités de notre secteur sont supervisées.
La Lettonie répartit la supervision : le NCSC supervise les entités essentielles et importantes de NIS 2 à travers les secteurs, tandis que le Bureau de protection de la Constitution supervise les infrastructures TIC critiques. Les régulateurs sectoriels conservent leur rôle là où ils en avaient un (par exemple dans la finance au titre de DORA). Une même entité peut relever de plusieurs superviseurs selon ce qu'elle exploite.
La plupart des opérateurs lettons du marché intermédiaire que nous rencontrons traitent encore NIS 2 comme quelque chose que le ministère de la Défense gère pour eux via CERT.LV. CERT.LV est le visage amical, mais ce n'est pas le superviseur. L'exécution et les sanctions relèvent du NCSC pour les entités essentielles et importantes générales, et du SAB pour les infrastructures TIC critiques. Les organes de direction de ces entités sont personnellement responsables de l'approbation de la gestion des risques et de l'obtention de leur propre formation, au niveau de la directive.
La démarche pratique est la même que partout dans l'UE : tester l'applicabilité au regard de la directive, notifier à l'autorité compétente dans la fenêtre d'un mois, exercer les quatre obligations continues (tenir à jour les données d'enregistrement, notification des incidents, risque de la chaîne d'approvisionnement, supervision par l'organe de direction) et documenter le minimum. CERT.LV reste le partenaire pour le traitement des incidents, et non l'endroit qui décide si vous êtes dans le périmètre.
Nous construisons le registre des obligations NIS 2 sur la couche de l'UE, et non sur une transposition nationale unique. La même liste de contrôle convient à une filiale lettone au titre de la loi nationale sur la cybersécurité, à une société mère allemande au titre du BSIG, et à une société sœur française au titre de l'Ordonnance n° 2024-1093. Les références d'articles changent selon le pays, les obligations de fond, non.
Pour le périmètre letton, vous commencez par le test d'applicabilité, puis la fenêtre d'enregistrement d'un mois, puis la notification des incidents via CERT.LV, les clauses de chaîne d'approvisionnement et la validation de l'organe de direction. Là où le NCSC ou CERT.LV publie des orientations sectorielles, nous les relions. Nous ne les copions pas.
- Directive (UE) 2022/2555 (NIS 2), EUR-Lex
- Règlement d'exécution (UE) 2024/2690, EUR-Lex
- Loi nationale sur la cybersécurité (Nacionālās kiberdrošības likums), likumi.lv (traduction anglaise)
- Commission européenne, page-pays NIS 2 pour la Lettonie (digital-strategy.ec.europa.eu)
- Avis motivé de la Commission européenne du 7 mai 2025 sur la transposition incomplète
- CERT.LV, site officiel (cert.lv), ministère de la Défense
- Centre national de cybersécurité, ministère de la Défense de la République de Lettonie